Ergebnis der Suchanfrage

• Forum: Win32/Win64 API (native code)

  Re: code section lesen bzw. ram editor

    Delphi
    by Arnulf, 2. Jul 2008
  Ok dann will ich es mal so halbwegs selbst beantworten - soweit es eben stimmt.
  das hier dürfte als so halbwegs stimmen um die position der section zu bestimmen
  
  rawCodePosition := SHD^.PointerToRawData;
  virtualCodeSize := SHD^.Misc.VirtualSize;
  
  wobei sich der startpointer dann so berechnet:
  
  startpos := offset + rawCodePosition;
  offset ist in dem fall einfach der begin...
• Forum: Win32/Win64 API (native code)

  Re: code section lesen bzw. ram editor

    Delphi
    by Arnulf, 30. Jun 2008
  Ich versuche jetzt die sections nach lesbaren strings zu durchsuchen.
  Allerdings bekomme ich ständig 'Access violation'
  ich kann kleinere bereiche lesen, aber nicht wenn es über ca. 14000 bytes geht.
  
  wenn es kopletter unsinn ist was ich mache könnts ihr mir das ruhig sagen :)....
  in wirklichkeit hab ich immer noch den eindruck ich lese einfach irgend etwas aus...
  
  
  begin
  readstream :=...
• Forum: Win32/Win64 API (native code)

  Re: code section lesen bzw. ram editor

    Delphi
    by Arnulf, 26. Jun 2008
  Ich hab es noch nicht ganz da ich nie sicher bin, dass es so stimmt.
  
  kurzfassung:
  // pointer to nt header
  INH := Pointer(Cardinal(IDH) + Cardinal(IDH^._lfanew));
  // pointer to sectionheader
  SHD := pointer(cardinal(@(INH^.OptionalHeader)) + INH^.FileHeader.SizeOfOptionalHeader);
  
  ich dachte eigentlich ich müsste nur den image_nt_header überspringen und wäre dirrekt bei den section...
• Forum: Win32/Win64 API (native code)

  Re: code section lesen bzw. ram editor

    Delphi
    by Arnulf, 20. Jun 2008
  Ich habe die hälfte deiner klassen nur rudimentär verstanden, deshalb hab ich einfach selbst einmal versucht die section header zu finden.
  
  Eindeutig verwirrend war für mich, dass ich vom prozess einen offset brauchte um den pe header zu bekommen
  (getoffset function ist ein module snapshot und liefert den hmodule)
  
  Das funktioniert scheinbar - wie lese ich allerdings jetzt den speicher der...
• Forum: Win32/Win64 API (native code)

  Re: code section lesen bzw. ram editor

    Delphi
    by Arnulf, 20. Jun 2008
  Hi
  Soweit ich die sourcen auseinander gepfriemelt habe durchsuchst du in einem prozess alle module bzw. deren codesection nach einem "command".
  
  Ich denke ich kann mir schon irgendwie zusammenbastelnd die sections eines programms bzw. einer .dll zu durchsuchen aber warum durchsuchst du nur die readable sections?
  
  if (Section.Size >= NameSize) and Section.IsReadable and
  not...
• Forum: Win32/Win64 API (native code)

  code section lesen bzw. ram editor

    Delphi
    by Arnulf, 19. Jun 2008
  Hallo
  Ich pfusch wiedermal irgendwo im pe-header herum.
  Ich würde mich gerne an einer art ram editor versuchen.
  
  Erstmal will ich nur die code section bzw. das reine image eines programms auslesen.
  Mich interessieren also die dinge im data directory wie import oder export table nicht besonders.
  es geht nur um das reine image der executeable im ram.
  
  wo finde ich das bzw. wie kann ich das...